[datensicherheit.de, 07.06.2025] Die Verbraucherzentrale NRW geht in ihrer aktuellen Stellungnahme auf Angriffe ein, welche jeden Tag millionenfach über das E-Mail-Postfach erfolgen: „Unbekannte verschicken Nachrichten mit dem Ziel, ins Online-Banking einzubrechen. Die Zahl dieser Straftaten steigt seit vielen Jahren kontinuierlich an. Der Schaden ist immens, die Betrugsmaschen werden stetig aktualisiert und verfeinert.“ Die Verbraucherzentrale NRW führt seit 2010 mit dem „Phishing-Radar“ eine eigene Statistik darüber. „Alleine im Jahr 2024 haben uns Menschen mehr als 400.000 E-Mails gemeldet“, berichtet Ralf Scherfling, Finanz- und Phishing-Experte der Verbraucherzentrale NRW.

BKA-Erkenntnisse spiegeln sich bei aktuellen Zahlen der Verbraucherzentrale NRW wider

Scherfling führt weiter aus: „In diesem Jahr sind bis Ende April bereits bereits mehr als 140.000 E-Mails eingegangen. Die Erkenntnisse des Bundeskriminalamts spiegeln sich also bei unseren aktuellen Zahlen wider.“ Scherfling gibt Tipps, wie man die neuesten Phishing-Trends erkennt, und was man tun sollte, falls man betroffen ist: „Wichtig ist vor allem, schnell, aber planvoll zu reagieren!“

• Betrügerische Nachrichten, ob per E-Mail, SMS oder Brief, seien teils in fremder Sprache oder fehlerhafter Übersetzung verfasst. Vielfach fehle auch die direkte Anrede, dann heiße es zum Beispiel „Sehr geehrter Kunde“ oder „Sehr geehrte Nutzerin“. Mittlerweile gebe es aber leider viele gut gemachte betrügerische Nachrichten mit persönlicher Anrede und in fehlerfreiem Deutsch. „Oft ist ein Link enthalten, der zu einer Internetseite führt, die der eines echten Anbieters täuschend ähnlich sieht. Man wird – meist verbunden mit einer kurzen Frist – verbal unter Druck gesetzt, den Link anzuklicken und sensible persönliche Daten einzugeben. Bei Nichtbeachtung wird mit schwerwiegenden Konsequenzen gedroht, wie der Sperrung der Kreditkarte oder des Zugangs zum Online-Banking.“

Man sollte generell sparsam mit den persönlichen Daten umgehen und die eigenen Sicherheitssysteme wie Virenschutzprogramm, Betriebssystem und Internetbrowser stets auf dem neuesten Stand halten. Wichtig, so Scherfling: „Gegenüber unerwarteten Nachrichten ein gesundes Misstrauen zeigen, Anhänge nicht öffnen, nicht auf angebotene Links klicken und auch nicht auf die E-Mail antworten!“ Wer sich nicht sicher ist, ob eine Nachricht echt ist, sollte am besten direkt beim genannten Anbieter nachfragen. Man könne sich auch wie gewohnt in sein Online-Banking einloggen, um zu prüfen, ob die gleiche Nachricht im eigenen Postfach dort auch vorhanden ist. „Ist dies nicht der Fall, liegt ein Betrugsversuch vor!“

Geldinstitute erfragen Zugangsdaten wie PIN oder TAN niemals telefonisch oder per E-Mail

Die Wahl eines sicheren Verfahrens sei für das Online-Banking wichtig, weil es immer wieder Angriffen von Kriminellen ausgesetzt sei. Diese suchten Sicherheitslücken in der Technik und setzten auf Fehler im menschlichen Verhalten.

• Persönliche Daten wie PIN oder TAN sollte man immer nur nach einer ordentlichen Prüfung eingeben, sonst übergibt man schlimmstenfalls den Tätern ungewollt die Verfügungsgewalt über sein Konto und ermöglicht ihnen, eine digitale Karte auf einem fremden Gerät zu hinterlegen.

Scherfling betont: „Geldinstitute erfragen Zugangsdaten wie PIN oder TAN niemals telefonisch oder per E-Mail. Damit ein unautorisierter Zugriff nicht erst nach Wochen auffällt, sollte man regelmäßig im Online-Banking den Kontostand kontrollieren.“ Der schlimmste Fall wäre ein leergeräumtes Konto oder Betroffene, die ihren Bankzugang nicht mehr aufrufen können.

Wenn der Zugang zum Konto nicht funktioniert, könnte ein Cyberangriff vorliegen

Wenn der Zugang zum Konto nicht funktioniert, sollte man einmal erneut in Ruhe das Passwort eingeben. „Erscheint erneut eine Fehlermeldung, spricht viel dafür, dass das Konto gehackt wurde. Es ist ratsam, dann zu testen, ob das Einloggen über ein anderes Gerät möglich ist.“

• In solchen Fällen könnte das erste Gerät mit Schadsoftware infiziert sein. Auf diesem Gerät sollte dringend ein Virenscan durchgeführt werden und es vorerst nicht mehr für Online-Banking genutzt werden.

Ferner sollte man überlegen, sicherheitshalber die Zugangsdaten und das Passwort zu ändern und, falls nötig, neue Anmeldedaten direkt bei Anbieter anzufordern. Dies sollte man mit einem Gerät tun, bei dem man kontrolliert hat, dass es frei von Schadprogrammen ist.

Wenn Dritte Zugang zum Konto hatten, sofort Bank und Polizei informieren

Betroffene sollten ihr Konto beziehungsweise die Karte sofort sperren lassen und Strafanzeige bei der Polizei stellen. Bei nicht autorisierten Überweisungen müsse die Empfängerbank informiert und die Erstattung schriftlich bei der eigenen Bank eingefordert werden.

• Banken müssten nicht autorisierte Zahlungen erstatten, sofern sie keine grobe Fahrlässigkeit der Kunden nachweisen könnten.

„Wenn die Bank die Erstattung verweigert, sollte man eine Schlichtungsstelle einschalten oder rechtliche Schritte über die Verbraucherzentrale oder mit einem Anwalt prüfen.“

Auch Telekommunikationsfirmen, Streaming- oder Paketdienste werden von Cyberkriminellen für Betrugs missbraucht

Persönliche Daten könnten nicht nur beim Online-Banking abgegriffen werden, sondern auch im Namen anderer Anbieter. Dies betreffe beispielsweise Zahlungsdienstleister wie PayPal oder auch Onlinehändler wie Amazon oder Anzeigenportale.

• Aber auch Telekommunikationsfirmen, Streaming- oder Paketdienste würden von Cyberkriminellen immer wieder für neue Betrugsmaschen genutzt. „Gerade die Tatsache, dass bei diesen nicht überall die Zwei-Faktor-Authentifizierung verpflichtend ist, macht diese Option für Betrüger attraktiv.“

Die sensiblen persönlichen Daten könnten sie dann für zielgerichtete Folgeattacken nutzen, um an weitere Daten zu kommen und letztlich das Konto zu übernehmen oder im Rahmen einer Transaktion dieses zu leeren.

Weitere Informationen zum Thema:

verbraucherzentrale NRW
Kontobetrug: Die Bank warf Ihnen grobe Fahrlässigkeit vor? Melden Sie uns Ihren Fall! / Sie sind Opfer von Kontobetrug geworden und Ihre Bank will den Schaden nicht ersetzen, weil Sie angeblich nicht vorsichtig genug waren? Unterstützen Sie uns, indem Sie uns Ihren Fall schildern – damit wir uns für Ihre Rechte einsetzen können!

verbraucherzentrale NRW, 03.06.2025
Phishing-Radar: Aktuelle Warnungen / Hier zeigen wir kontinuierlich aktuelle Betrugsversuche, die uns über unser Phishing-Radar erreichen.

verbraucherzentrale NRW, 03.04.2025
Schutz vor Betrug: Tipps für sicheres Onlinebanking / Onlinebanking ist immer wieder den Angriffen von Kriminellen ausgesetzt. Daher ist die Wahl eines möglichst sicheren TAN-Verfahrens sehr wichtig. Wir erklären und bewerten die gängigen Methoden.

verbraucherzentrale NRW, 04.02.2025
Phishing-Mails: Woran Sie sie erkennen und worauf Sie achten müssen / Es vergeht kein Tag, an dem Online-Kriminelle keine E-Mails mit gefährlichen Links oder Anhängen verschicken. Ziel: Sich Ihre Zugangsinformationen und persönlichen Daten zu beschaffen. Viele dieser E-Mails sehen täuschend echt aus. Es gibt aber Anzeichen, an denen Sie betrügerische E-Mails erkennen.

datensicherheit.de, 21.05.2025
Abgriff persönlicher Daten: Phishing-Welle attackiert Steuerzahler in Deutschland / Gefälschte E-Mails im Umlauf – angeblich vom Bundeszentralamt für Steuern, Finanzamt oder „ELSTER“-Portal

datensicherheit.de, 07.05.2025
Phishing-Attacken mittels Missbrauch legitimer Web-Plattformen wie Google / Eine neue cyber-kriminelle Methode macht aktuell dem Weltkonzern Google zu schaffen

datensicherheit.de, 15.03.2025
Phishing-Angriffe in Deutschland nehmen stark zu / BioCatch-Studie untersucht Trends in der Finanzkriminalität und deren Opfer

[datensicherheit.de, 13.05.2025] Laut einer Meldung der Verbraucherzentrale NRW vom 13. Mai 2025 beantragt diese eine einstweilige Verfügung gegen Meta, um die geplante Nutzung personenbezogener Daten aus „Instagram“ und „facebook“ für das KI-Training im Eilverfahren zu stoppen. Dieses Vorgehen verstößt aus Sicht der Verbraucherschützer gegen europäisches Datenschutzrecht – Meta scheine kommerzielle Interessen über die Rechte der Betroffenen zu stellen. Betroffene können der Nutzung noch bis 27. Mai 2025 widersprechen.

Meta wird Daten der Nutzer verwenden, sofern diese nicht aktiv widersprechen

Mitte April 2025 hat die Meta Platforms Ireland Limited (kurz: Meta) angekündigt, ab dem 27. Mai 2025 in ihren Diensten „facebook“ und „Instagram“ veröffentlichte Beiträge europäischer Nutzer für KI-Trainingszwecke zu verwenden.

• Meta stützt sich dabei gegenüber Nutzern auf ein sogenanntes berechtigtes Interesse und verwendet die Daten, sofern die Kunden nicht aktiv widersprechen.

Die Verbraucherzentrale NRW hat Zweifel an der Rechtmäßigkeit des Vorgehens und verschärft nach eigenen Angaben ihren Kurs gegen Meta: „Nachdem Meta auch nach einer Abmahnung nicht bereit war von den Plänen abzurücken, folgt nun der Gang vor das Oberlandesgericht Köln.“

Sind Daten erst einmal für KI verwendet worden, ist ein Rückruf kaum noch möglich

„Mit dem Antrag auf einstweilige Verfügung wollen wir verhindern, dass Meta Fakten schafft, bevor die Rechtslage geklärt ist“, erläutert Christine Steffen, Juristin und Datenschutzexpertin der Verbraucherzentrale NRW. Sie betont: „Sind die Daten erst einmal für KI verwendet worden, ist ein Rückruf kaum noch möglich – deshalb ist jetzt schnelles Handeln gefragt!“ Auch marktmächtige Anbieter müssten sich an Datenschutzregeln halten:

• „Unser Ziel ist es nicht, die Entwicklung Künstlicher Intelligenz zu verhindern, sondern sicherzustellen, dass sie auf einer rechtsstaatlichen und fairen Grundlage erfolgt. Meta scheint seine kommerziellen Interessen über die Rechte der Betroffenen zu stellen.“ Doch Innovation brauche das Vertrauen der Gesellschaft – „und das entsteht nur, wenn die Grundrechte gewahrt bleiben“, unterstreicht Steffen.

Dem juristischen Vorgehen der Verbraucherzentrale NRW hielt Meta demnach öffentlich entgegen, dass auch andere Unternehmen so handeln würden. „Rechtmäßigkeit ergibt sich aber nicht aus der bloßen Gewohnheit von Branchenriesen wie Meta“, stellt Steffen klar und führt weiter aus: „Wenn sich das Recht am Marktverhalten orientiert, verliert der Gesetzgeber seine ordnende Funktion.“ Verbraucher sollten die Kontrolle über ihre persönlichen Daten behalten.

Verbraucherschützer sehen Konflikt mit europäischem Datenschutzrecht

Im Zentrum der Kritik steht nach wie vor die Berufung von Meta auf ein „berechtigtes Interesse“. Nach Auffassung der Verbraucherschützer ist diese Begründung nicht tragfähig: „Die von Meta geplante Datenverarbeitung verstößt aus unserer Sicht gegen grundlegende Vorgaben der ,Datenschutzgrundverordnung’ und des ,Digital Markets Act’“, so Steffen.

• Als besonders problematisch benennt Steffen folgenden Umstand: Es sei nicht auszuschließen, dass auch sensible personenbezogene Daten – etwa zur politischen Meinung, Gesundheit oder Sexualität – sowie Daten von Minderjährigen in dieses KI-Training einfließen.

Auch wenn nun juristische Schritte eingeleitet wurden, sei es nun wichtig, dass Verbraucher selbst handeln: Wer nicht möchte, dass die eigenen Inhalte für KI-Systeme verwendet werden, kann noch bis zum 27. Mai 2025 aktiv widersprechen. Eine Schritt-für-Schritt-Anleitung dazu stellt die Verbraucherzentrale NRW auf ihrer Website zur Verfügung.

Weitere Informationen zum Thema:

verbraucherzentrale Nordrhein-Westfalen, 13.05.2025
„Meta AI“ bei Facebook, Instagram und WhatsApp – so widersprechen Sie / Meta will in Europa öffentliche Nutzerinhalte fürs Training der KI „Meta AI“ verwenden. Sie können der Nutzung Ihrer Daten widersprechen, den Chatbot mit dem blauen Kreis aber nicht abschalten. Die Verbraucherzentrale NRW geht rechtlich gegen Metas Handlungen vor.

datensicherheit.de, 18.04.2025
KI-Training mit persönlichen Daten: Meta startet im Mai 2025 / Daten aus Posts, Fotos und Kommentaren der Nutzer von „facebook“ und „Instagram“ sollen zum KI-Training Verwendung finden

[datensicherheit.de, 13.02.2025] Die Verbraucherzentrale NRW warnt anlässlich des „Safer Internet Day“ am 11. Februar 2025 vor einer „neuen Qualität von Phishing-Mails“: Sparkasse, Postbank, Telekom oder PayPal – es seien oft große Unternehmen, deren Namen Kriminelle für betrügerische E-Mails (Phishing-Mails) missbrauchten. Denn bei Firmen mit großem Kundenstamm sei die Wahrscheinlichkeit hoch, dass unter den wahllos ausgewählten Adressaten einige dabei sein würden, welche die Behauptung in der E-Mail glaubten und in die Falle tappten. „Die Methoden werden dabei zunehmend raffinierter”, so Ralf Scherfling, Finanzexperte bei der Verbraucherzentrale NRW. Er führt aus: „Früher ließen sich Phishing-Mails an schlechter Rechtschreibung, falscher Absender-Adresse, seltsam verlinkten Internet-Adressen und einem fehlenden Namen in der Anrede erkennen. Inzwischen braucht man viel mehr technisches Verständnis, um Phishings-Mails zu durchschauen.” Er erläutert in seiner Stellungnahme, wie Verbraucher eine verdächtige E-Mail auf Echtheit prüfen können:

Aussagen aus E-Mails sollten immer überprüft werden!

Wann immer Verbraucher eine E-Mail von einem Unternehmen erhalten, bei dem sie ein Kundenkonto haben, sollte man misstrauisch sein und die Informationen aus der E-Mail verifizieren. Verbraucher könnten hierzu direkt auf die originale Website des Anbieters gehen und sich in ihr Kundenkonto einloggen. „Wichtig: Die Unternehmensseite darf nicht über einen Link in der verdächtigen Mail aufgerufen werden!“

Alternativ könnten sich Betroffene auch über die echte App des Anbieters in ihr Kundenkonto einloggen. „Dort können sie prüfen, ob sie tatsächlich diese Nachricht erhalten haben und ob wirklich Handlungsbedarf besteht.“ Den Aussagen und Aufforderungen aus einer E-Mail sollten Verbraucher nie trauen.

Keine Links in E-Mails öffnen oder Daten eingeben!

„Hinter Phishing-Mails steht immer der Versuch, persönliche Daten abzugreifen, mit denen Kriminelle dann weiteren Schaden bei den Betroffenen anrichten könnten, zum Beispiel das Girokonto zu leeren.“ Bereits das Öffnen eines Links könne gefährlich werden, „wenn Kriminelle im Quellcode der Seite ein Schadprogramm verstecken und die Betroffenen sich dadurch einen Virus oder Trojaner einfangen“.

Scherfling unterstreicht: „Wurden persönliche Daten eingegeben, besteht akuter Handlungsbedarf! Handelte es sich beispielsweise um sensible Kontodaten, sollte umgehend das Kreditinstitut oder der Zahlungsdienstleister kontaktiert werden und ferner Strafanzeige gestellt werden.“

Auch das Empfängerfeld der E-Mail kann verdächtig sein!

Verbraucher sollten prüfen, ob sie tatsächlich als Empfänger der E-Mail adressiert sind. Unternehmen sprächen ihre Kunden in E-Mails grundsätzlich mit ihrem Namen an und niemals mit „Sehr geehrter Kunde“ oder „Sehr geehrter Nutzer“… Manchmal hätten Kriminelle den Namen ihrer Opfer aber schon herausgefunden und schrieben diese mit persönlicher Ansprache an.

„Eine weitere Betrugsmasche, die seit Kurzem im Zusammenhang mit PayPal von Kriminellen eingesetzt wird, ist das Anlegen von Verteilerlisten.“ Die Kriminellen richteten bei einem entsprechenden Anbieter eine E-Mail-Adresse als Verteilerliste ein. „In diese Liste tragen sie die Mail-Adressen ihrer Opfer ein.“ Bei PayPal nutzten sie die Funktion „Geld anfordern“ und gäben die Adresse ihrer Verteilerliste ein. Dorthin werde dann eine echte PayPal-Mail geschickt und automatisch an alle anderen unsichtbaren Mail-Adressen des Verteilers gestreut. „So erhalten die Betroffenen Mails, die gar nicht an sie adressiert sind.“

So erkennt man den echten Absender der E-Mail!

Viele Phishing-Mails seien sehr gut gemacht. Die E-Mail-Adresse des Absenders scheine vertrauenswürdig. „Wer tatsächlich hinter der E-Mail steckt, lässt sich über den Mail-Header, auch Quelltext genannt, sicher feststellen. Der Header enthält Informationen zum Empfänger, Absender sowie der IP-Adresse des Absenders, die sonst nicht sichtbar wären.“

Cyber-Kriminelle könnten zwar grundsätzlich auch Fälschungen in den Header einbauen, beispielsweise falsche Zeilen. Aber bestimmte Bereiche des Headers seien vertrauenswürdig und könnten einen Betrugsversuch aufdecken. Scherflings abschließender Hinweis: „Wie der E-Mail-Header ausgelesen werden kann, hängt vom genutzten Mail-Programm ab. Eine Hilfe für das Auslesen des Headers findet sich auf der Internetseite der Verbraucherzentrale NRW.“

Weitere Informationen zum Thema:

verbraucherzentrale Nordrhein-Westfalen, 10.02.2025
Phishing über E-Mail-Verteiler: Gefahr für Ihr PayPal-Konto? / Rechtschreibfehler, unpassender Absender, seltsame Links, keine namentliche Anrede – das sind bislang die „Klassiker“ zum Erkennen betrügerischer Nachrichten. Inzwischen reicht das nicht mehr…

verbraucherzentrale Nordrhein-Westfalen, 07.02.2025
Phishing-Radar: Aktuelle Warnungen / Hier zeigen wir kontinuierlich aktuelle Betrugsversuche, die uns über unser Phishing-Radar erreichen

verbraucherzentrale Nordrhein-Westfalen, 04.02.2025
Phishing-Mails: Woran Sie sie erkennen und worauf Sie achten müssen / Es vergeht kein Tag, an dem Online-Kriminelle keine E-Mails mit gefährlichen Links oder Anhängen verschicken…

datensicherheit.de, 28.01.2025
Cyber-Kriminelle in der Schweiz werfen Köder aus: Versand gefälschter E-Mails des Finanzamts / Proofpoint hat alarmierende Zunahme von Cyber-Kampagnen und bösartigen Domains festgestellt

datensicherheit.de, 03.01.2025
E-Rechnungspflicht erfordert Stärkung der E-Mail-Sicherheit / Die E-Rechnung als ein Meilenstein der Digitalisierung des Mittelstands

datensicherheit.de, 04.10.2024
Microsoft-E-Mails: Tausende verschiedener Fälschungen im Umlauf / Mit fortschrittlichen Techniken gefälschte E-Mails machen es nahezu unmöglich, sie von echten zu unterscheiden

[datensicherheit.de, 27.11.2024] Die Verbraucherzentrale NRW geht in ihrer aktuellen Stellungnahme auf die zweifelhafte Beantragung kostenfreier Schufa-Auskünfte gegen Entgelt ein – sie ist nach eigenen Angaben erfolgreich gegen den Betreiber der Website „selbstauskunft.de“ vorgegangen – deren Anbieter habe Entgelt für die Beantragung einer Schufa-Datenkopie verlangt, „die es bei der Auskunftei laut Gesetz kostenfrei gibt“. Zudem seien die Preise nicht ausreichend gekennzeichnet worden. Es gebe zahlreiche Verbraucherbeschwerden über Online-Dienste, „die für viel Geld ihre Hilfe bei Antragstellungen anbieten“.

Verbraucherschützer kritisierten zudem falsch platzierte Preisangabe

„Wir besorgen Ihre SCHUFA-Auskunft“ heiße es auf der Website „selbstauskunft.de“ – in „unter 1 Minute“ sei der Antrag gestellt. Die Kosten für diese Dienstleistung seien jedoch nicht deutlich gekennzeichnet worden. Die Verbraucherzentrale NRW sei daher gegen den Betreiber dieser Website vorgegangen. „Die Preisangabe war zudem nicht an der richtigen Stelle.“ Denn laut Gesetz müsse der Preis unmittelbar bevor Verbraucher ihre Bestellung abgeben, deutlich genannt werden.

Das Landgericht Düsseldorf habe den Betreiber mit sogenanntem Anerkenntnisurteil vom 2. Oktober 2024 verpflichtet, die Gestaltung der Website in dieser Form zu unterlassen (Aktenzeichen 14c O 70/24). Mittlerweile habe das Unternehmen seine diese angepasst und den Preis für seine Dienstleistung in unmittelbarer Nähe zum Bestellbutton und deutlich hervorgehoben platziert. „Allerdings verlangt die Firma mittlerweile sogar 39,90 Euro für ihr Angebot“, berichtet Carolin Semmler, Juristin bei der Verbraucherzentrale NRW.

Anbieter fordern Gebühren von Verbrauchern für oftmals kostenfreie Dienstleitungen

Inzwischen gebe es zahlreiche kommerzielle Anbieter, welche „mit der kostenpflichtigen Beantragung von Urkunden, Führungszeugnissen oder anderen öffentlichen Leistungen werben, obwohl die direkte Beantragung bei der Behörde in vielen Fällen kostenlos wäre“. Auch eine Kopie der bei der Schufa gespeicherten Daten könnten Verbraucher kostenfrei direkt bei der Schufa beantragen.

Die Schufa nenne die kostenlose Auskunft „Daten-Kopie nach Art. 15 DSGVO“. Viele Verbraucher stießen über Suchmaschinen auf diese Anbieter, welche durch das Schalten von Werbeanzeigen ganz oben in der Ergebnisliste platziert seien. Manchen Verbrauchern sei gar nicht bewusst, „dass sie sich nicht auf der offiziellen Seite für die Antragstellung befinden oder dass es auch einen kostenfreien Weg gibt“.

Verbraucher sollten Daten bei Unternehmen direkt anfragen

Wer sich einen Überblick darüber verschaffen möchte, welche Informationen Unternehmen und Auskunfteien über die eigene Person gespeichert haben, könne eine kostenlose Auskunft verlangen. Insbesondere bei Auskunfteien lohne sich ein kontrollierender Blick:

Kredite oder der Online-Kauf auf Rechnung scheiterten immer wieder an falsch gespeicherten Daten. Daher sollten Verbraucher regelmäßig eine kostenlose Auskunft nach Art. 15 DSGVO bei Auskunfteien wie Schufa, CRIF, Creditreform Boniversum, infoscore Comsumer Data und anderen einholen, um die Richtigkeit der dort gespeicherten Daten zu überprüfen.

Weitere Informationen zum Thema:

verbraucherzentrale Nordrhein-Westfalen, 26.11.2024
Scoring mit Kundendaten: So verlangen Sie Auskunft bei Schufa & Co. / Auskunfteien betreiben „Scoring“ mit personenbezogenen Daten und ziehen daraus Rückschlüsse auf Kreditwürdigkeit und Zahlungsfähigkeit. Diese Daten können Sie abfragen – und korrigieren lassen

[datensicherheit.de, 05.06.2024] Nach aktuellen Erkenntnissen von DIGITAL.SICHER.NRW, dem Kompetenzzentrum für Cyber-Sicherheit in der Wirtschaft in Nordrhein-Westfalen (NRW) nehmen die meisten Unternehmen in NRW das Thema Cyber-Sicherheit laut eigenen Angaben ernst. Über die letzten Jahre gesehen habe die Bedeutung des Themas bei ebendiesen sogar noch weiter zugenommen. Indes fühlten sich viele Angestellte besonders in kleinen und mittleren Unternehmen (KMU) häufig nicht dafür zuständig, Sicherheitsmaßnahmen zum Schutz zu ergreifen. Die Erkenntnisse beruhen laut DIGITAL.SICHER.NRW auf neu ausgewerteten Zahlen aus der Befragung von „Cybersicherheit in Zahlen – Lernen. Wissen. Handeln.“ des IT-Sicherheitsunternehmens G DATA CyberDefense. Im Rahmen einer großflächig angelegten und repräsentativen Studie zum Thema IT-Sicherheit seien über 5.000 Arbeitnehmer aus ganz Deutschland befragt worden – untersucht worden seien Erfahrungen, Einstellungen und das Verhalten zur Cyber-Sicherheit in Deutschland. Bei der Neuauswertung dieser Zahlen habe ein besonderer Fokus auf NRW gelegen.

Abbildung: CYBERSEC-NRW gGmbH

CYBERSICHERHEIT IN NRW 2024: Studie zur IT-Sicherheit in Unternehmen

Konkrete Umsetzung von Cyber-Sicherheitsmaßnahmen gehört nicht automatisch zum Arbeitsalltag der Mitarbeiter

KMU fühlten sich im Schnitt weniger zuständig, konkrete Cyber-Sicherheitsmaßnahmen im Berufsalltag zu ergreifen als größere Unternehmen: „Nicht einmal die Hälfte ihrer Angestellten geben an, sichere Passwörter zu verwenden und zwei Drittel prüfen eingehende E-Mails nicht auf Phishing – dabei werden Unternehmen im Digitalen Raum am häufigsten auf diese Art angegriffen.“ Bei großen Unternehmen sehe es zwar besser aus, trotzdem nutzten nur etwas über ein Viertel einen VPN-Zugang und ein Drittel einen zweiten Faktor bei Authentifizierungen. „Das deutet darauf hin, dass die konkrete Umsetzung von Cyber-Sicherheitsmaßnahmen nicht automatisch zum Arbeitsalltag der Mitarbeitenden dazugehört.“

Dies könnte daran liegen, dass Mitarbeiter das Risiko, im Unternehmen von Cyber-Kriminalität betroffen zu sein eher, als gering einschätzten. Im Vergleich zu anderen Bundesländern sinke diese Risikoeinschätzung in NRW über die Jahre sogar noch deutlicher. Durch die Sicherheitsmaßnahmen in ihrem Betrieb fühlten sich Angestellte (sehr) gut geschützt und der Großteil stufe das Verantwortungsbewusstsein der eigenen Geschäftsführung beim Thema IT-Sicherheit als hoch ein.

Die Verantwortung für Cyber-Sicherheit liegt bei der Chefetage

„Digitale Sicherheit muss im Unternehmen von Anfang an mitgedacht und als fortlaufender Prozess betrachtet und gelebt werden“, stellt Sebastian Barchnicki, Sprecher der Geschäftsführung von DIGITAL.SICHER.NRW., in seinem Kommentar klar. Er lässt keinen Zweifel: „Die Verantwortung hierfür liegt bei der Chefetage!“ Erst dann könne sich das Thema „in der DNA des Unternehmens“ verankern, um dieses gegen Cyber-Kriminalität und die daraus entstehenden wirtschaftlichen Schäden bestmöglich zu schützen.

Andreas Lüning, Vorstand und Mitgründer der G DATA CyberDefense AG, führt ergänzend aus: „Die jüngsten Cyber-Angriffe in NRW verdeutlichen, dass jedes Unternehmen, unabhängig von Größe und Branche, ein potenzielles Ziel ist.“ Trotzdem zeige sich in Gesprächen eine Passivität gegenüber Cyber-Sicherheit, mit dem Glauben, technische Lösungen allein seien ausreichend. Abschließend rät Lüning dringend: „Doch Schulungen und Investitionen in Mitarbeiter sind essenziell, wie eine deutschlandweite Umfrage belegt. Es ist an der Zeit zu handeln, wie die Zahlen zeigen.“

Weitere Informationen zum Thema:

DIGITAL SICHER NRW Kompetenzzentrum für Cybersicherheit in der Wirtschaft
CYBERSICHERHEIT IN NRW 2024 / Studie zur IT-Sicherheit in Unternehmen

DIGITAL SICHER NRW
Ihr Kompetenzzentrum für Cybersicherheit in der Wirtschaft

[datensicherheit.de, 07.12.2023] Die Verbraucherzentrale NRW hat gleich am 7. Dezember 2023 Stellung zum aktuellen Urteil des Europäischen Gerichtshofes (EuGH) zum Schufa-Scoring genommen – demnach stärkt dieses die Verbraucherrechte.

Schufa muss darlegen, wie die Werte des Bonitätsscorings zustandekommen

Die SCHUFA Holding AG (Schufa) müsse Verbraucher von nun an Auskunft darüber geben, „wie die Werte des Bonitätsscorings (Schufa-Score) zustandekommen“. Der EuGH hat am 7. Dezember 2023 in einem Verfahren gegen die Auskunftei entschieden, „dass es sich um eine automatisierte Entscheidung handelt, wenn ein Vertragsabschluss maßgeblich vom Schufa-Score abhängt“.

Dies habe zur Folge, dass Verbraucher nun mehr Transparenz von der Schufa verlangen könnten und das Recht hätten, zu erfahren, „wie der Wert ihres Schufa-Scores zustandekommt“.

Schufa hatte bisher nähere Erläuterung der Berechnung abgelehnt

Hintergrund des Verfahrens war laut der Verbraucherzentrale NRW, dass die Schufa eine nähere Erläuterung der Berechnung unter Berufung auf das Geschäftsgeheimnis ablehnte und auf die Anbieter verwies, da diese letztlich entscheiden würden, ob und zu welchen Konditionen ein Vertrag zustande komme. „Wie der Score konkret berechnet wird, war für die Betroffenen bisher kaum nachvollziehbar.“

„Diesem Ping-Pong bei dem Wunsch nach Auskunft setzt der EuGH nun ein Ende und sorgt für mehr Transparenz beim Bonitätsscoring“, betont Wolfgang Schuldzinski, Vorstand Verbraucherzentrale NRW. Verbraucher müssten verständliche Informationen erhalten, wie ihre Score-Werte zustande kommen. Jetzt komme es darauf an, dass das Schutzniveau der Datenschutzgrundverordnung (DSGVO) bei solchen automatisierten Entscheidungen nicht durch nationale Gesetze wieder abgesenkt werde.

Weitere Informationen zum Thema:

datensicherheit.de, 22.10.2023
Nur ein erster Schritt: Löschung von Positivdaten bei der SCHUFA

[datensicherheit.de, 31.10.2023] Nach aktuellen Medienberichten sollen nach einem Cyber-Angriff mehrere Städte und Landkreise im Süden Nordrhein-Westfalens seit dem 30. Oktober 2023 online nicht mehr erreichbar sein – als Ursache wird eine Cyber-Attacke auf Südwestfalen IT, den kommunalen Dienstleister, genannt. Thomas Lo Coco, „Regional Director Central Europe“ bei Absolute Software, weist in seiner Stellungnahme auf die Bedeutung und Vielschichtigkeit der Cyber-Resilienz hin.

Foto: Absolute Software

Thomas Lo Coco rät, Strategie zur Reduzierung der Auswirkungen eines Cyber-Angriffs zu entwickeln

Neue Strategie zur Bewältigung zunehmender Cyber-Bedrohungen: Cyber-Resilienz

Lo Coco kommentiert: „Angriffe auf IT-Dienstleister sind heutzutage an der Tagesordnung; und diese sind vor allem dann verheerend, wenn es den Angreifern gelingt auf die Systeme deren Kunden zuzugreifen.“ Dadurch multipliziere sich der potenzielle Schaden im Handumdrehen. Natürlich sei und bleibe es wichtig, es den Angreifern so schwer wie möglich zu machen in die Systeme einzudringen, aber jeder Verantwortliche wisse, dass es keine 100-prozentige Sicherheit gebe. Es gelte daher Vorkehrungen zu treffen, „welche die möglichen Folgen einer Attacke so gering wie möglich halten“.

Er erläutert: „Das bedeutet, dass es ebenso wichtig ist, eine Strategie zur Reduzierung der Auswirkungen zu entwickeln, anstatt sich in erster Linie darauf zu konzentrieren, Kriminelle vom Netzwerk fernzuhalten. Im Gegenzug haben viele Unternehmen damit begonnen, eine neue Strategie zur Bewältigung der zunehmenden Cyber-Bedrohungen einzuführen, die als ,Cyber-Resilienz’ bezeichnet wird.“

Cyber-Resilienz – antizipieren, standzuhalten, erholen bzw. anpassen

Der aktuelle Fall zeige einmal mehr, dass die effektive Absicherung der PCs im BIOS (basic input/output system / PC Firmware) beginne und essenziell sei, „wenn es darum geht, wieder sehr schnell einsatzbereit zu sein“. Das IT-Security-Konzept von Unternehmen, Ämtern und Behörden sei nur dann wirklich wirksam, „wenn man die BIOS-Ebene mit einbezieht“.

Laut der MITRE Corporation und dem National Institute of Standards and Technology (NIST) in den USA ist Cyber-Resilienz „die Fähigkeit, widrige Bedingungen, Belastungen, Angriffe oder Gefährdungen von Cyber-Ressourcen zu antizipieren, ihnen standzuhalten, sich davon zu erholen und sich an sie anzupassen“.

Unerwünschtes Cyber-Ereignis darf keine negativen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben

Der Bedarf an Cyber-Resilienz ergebe sich aus der wachsenden Erkenntnis, dass herkömmliche Sicherheitsmaßnahmen nicht mehr ausreichten, um Systeme, Daten und das Netzwerk vor Kompromittierung zu schützen. Das Ziel der Cyber-Resilienz bestehe darin, „sicherzustellen, dass ein unerwünschtes Cyber-Ereignis keine negativen Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Geschäftsbetriebs einer Organisation hat“, so Lo Coco.

Cyber-Sicherheit wende Technologien, Prozesse und Maßnahmen an, welche darauf abzielten, Systeme, Netzwerke und Daten vor Cyber-Angriffen zu schützen. Im Gegensatz dazu konzentriere sich Cyber-Resilienz auf detektierende und reaktive Kontrollen in der IT-Umgebung eines Unternehmens, um Lücken zu bewerten und Verbesserungen der gesamten Sicherheitslage voranzutreiben. „Die meisten Cyber-Resilienz-Initiativen nutzen oder verbessern eine Vielzahl von Cyber-Sicherheitsmaßnahmen. Beide sind am effektivsten, wenn sie gemeinsam angewendet werden.”

4 Aspekte einer Cyber-Resilienz-Strategie

„Wenn es um Cyber-Resilienz geht, glauben viele Unternehmen leider, dass die Datensicherung (Backup) ihre wichtigste bzw. einzige Option zur Etablierung dieses Ansatzes ist“, moniert Lo Coco. Cyber-Resilienz-Strategien umfassten jedoch unter anderem die folgenden Aspekte:

1. Ständige Konnektivität
„Halten Sie eine vertrauenswürdige Verbindung mit Endpunkten aufrecht, um unsicheres Verhalten oder Bedingungen zu erkennen, die sensible Daten gefährden könnten!“ Dazu gehörten eine detaillierte Transparenz und Kontrolle über Endpunkt-Hardware, Betriebssysteme, Anwendungen und auf dem Gerät gesammelte Daten. Diese ständige Konnektivität könne im Falle eines Ransomware-Angriffs bei der Wiederherstellung des Betriebssystems hilfreich sein.

2. Fehlkonfigurationen im Fokus
„Überwachen und beheben Sie Fehlkonfigurationen – automatisch, wenn möglich, da Unternehmen nicht davon ausgehen können, dass der Zustand ihrer IT-Kontrollen oder -Sicherheit im Laufe der Zeit stabil bleibt!“

3. Dynamische Web-Filterung
„Überwachen Sie zudem den Status der Netzwerkkonnektivität, den Sicherheitsstatus und die potenzielle Bedrohungslage, um mithilfe dynamischer Web-Filterung eine akzeptable Nutzung durchzusetzen!“

4. Dynamische, kontextbezogene Netzwerk-Zugriffsrichtlinien
Und abschließend rät Lo Coco: „Erzwingen Sie dynamische, kontextbezogene Netzwerk-Zugriffsrichtlinien, um Personen, Geräten oder Anwendungen Zugriff zu gewähren.“ Dazu gehöre die Analyse des Gerätestatus, des Anwendungszustands, der Netzwerkverbindungssicherheit sowie der Benutzeraktivität, um anschließend vordefinierte Richtlinien am Endpunkt und nicht über einen zentralen Proxy durchzusetzen.

Weitere Informationen zum Thema:

ZEIT ONLINE, 31.10.2023
NRW: Hackerangriff legt IT-Infrastruktur von 70 Kommunen lahm

[datensicherheit.de, 22.10.2023] Laut einer Stellungnahme der Verbraucherzentrale NRW hat die SCHUFA Holding AG am 19. Oktober 2023 bekanntgegeben, dass sie gespeicherte Positivdaten von Mobilfunkkunden löschen werde. Unter sogenannten Positivdaten werden demnach Informationen über abgeschlossene Verträge mit Telekommunikationsanbietern oder anderen Firmen verstanden – die keine Einschätzung der Zahlungswahrscheinlichkeit beinhalteten.

Foto: VZ NRW / Artes

Wolfgang Schuldzinski fordert Telekommunikationsanbieter auf, die Übermittlung von Positivdaten an Auskunfteien generell einzustellen

Übermittlung solcher Daten z.B. an die SCHUFA nicht ohne Weiteres zulässig

Bei den Positivdaten hätten Betroffene sich im Unterschied zu sogenannten Negativdaten also nichts zuschulden kommen lassen. Da eine Übermittlung solcher Daten an Wirtschaftsauskunfteien wie die SCHUFA aus Sicht der Verbraucherzentrale NRW nicht ohne Weiteres zulässig ist, hatte sie gerichtliche Verfahren gegen die Mobilfunkanbieter Telekom, Vodafone und Telefónica eingeleitet.

Diese Beklagten hätten ohne Zustimmung ihrer Kunden Positivdaten an die Auskunftei weitergegeben. Das Landgericht München I (Az 33 O 5976/22) habe den Verbraucherschützern in einem noch nicht rechtskräftigen Urteil bereits Recht gegeben. Nun habe die SCHUFA reagiert und angekündigt, die Positivdaten zu löschen.

SCHUFA beendet unrechtmäßige Datenspeicherung

„Wir freuen uns, dass unser Einsatz für Verbraucherrechte nun konkrete Maßnahmen nach sich zieht, indem die SCHUFA die unrechtmäßige Datenspeicherung beendet und die vorhandenen Daten löscht“, kommentiert Wolfgang Schuldzinski, Vorstand der Verbraucherzentrale NRW.

Diese Maßnahme könne aber nur der erste Schritt sein. „Wir fordern die Telekommunikationsanbieter weiterhin auf, die Übermittlung von Positivdaten an Auskunfteien generell einzustellen“, betont Schuldzinski abschließend.

[datensicherheit.de, 21.11.2022] Die Verbraucherzentrale NRW warnt in ihrer aktuellen Stellungnahme vor dem sogenannten Single-Sign-On, d.h. vor dem Login über Social-Media-Accounts: Viele Internetshops, Plattformen und Apps bieten die Möglichkeit, sich mit einem Social-Media-Account, Google- oder Amazon-Konto zu registrieren (s. „Weiter mit Facebook“, „Weiter mit Google“ etc.). Die vordergründigen Vorteile liegen auf der Hand: Keine neue Registrierung, keine zusätzliche Angabe von Daten, kein lästiges Erstellen und Merken eines weiteren Passworts. „Der Komfort birgt allerdings auch Risiken”, betont Ayten Öksüz, Datenschutzexpertin bei der Verbraucherzentrale NRW, und führt aus: „Wenn das Passwort für den eigenen Social-Media-Account in die falschen Hände gerät, erhalten Dritte Zugang zu allen Seiten, die mit diesem Account genutzt werden. Außerdem kann der Anbieter des Benutzerkontos umfassende Daten darüber sammeln, was die Personen auf anderen Internetseiten machen.”

Login per Single-Sign-On als Generalschlüssel

Viele Web-Shops, Plattformen und Apps erfordern für die Nutzung eine einmalige Registrierung, wofür in der Regel eine E-Mail-Adresse und ein Passwort benötigt werden. Manchmal müssen auch noch weitere persönliche Angaben gemacht werden. „Als äußerst praktisch erscheint es, wenn der Seitenbetreiber stattdessen oder zusätzlich die Möglichkeit bietet, sich mit einem anderen, bereits bestehenden Konto einzuloggen. Das kann zum Beispiel ein Social-Media-Account von Facebook oder ein Google- oder Amazon-Konto sein, womit auch gleich bezahlt werden kann“, so Öksüz. Hierbei spreche man im weitesten Sinne von Single-Sign-On: Das Benutzerkonto diene dann als eine Art Generalschlüssel für den Zugang zu anderen Diensten.

Missbrauch der Login-Option per Single-Sign-On

„Anfang Oktober informierte Facebook darüber, dass Kriminelle mit mehr als 400 Apps für ,Android’ und ,iOS’ die Login-Daten von ,facebook’-Mitgliedern gestohlen hätten“, berichtet Single-Sign-On. Diese hätten die Möglichkeit „Login mit Facebook“ angezeigt, über die man sich vermeintlich mit seinem „facebook“-Account habe anmelden können. „Allerdings waren es Phishing-Formulare, die die eingegebenen Anmeldedaten und Passwörter direkt an die Kriminellen geschickt haben.“ Die hätten damit die „facebook“-Konten der Betroffenen übernehmen können. Wie bei einem Generalschlüssel für ein Haus, könne der Schaden beim Verlust eines Single-Sign-On-Account-Passworts besonders groß werden. Kriminelle hätten dann leichtes Spiel. „Wenn sie das eine Passwort kennen, erhalten sie überall Zugriff“, warnt Öksüz.

Single-Sign-On auch aus Sicht des Datenschutzes bedenklich

Unabhängig von Fragen der Sicherheit sei die Anmeldung per Single-Sign-On auch aus Sicht des Datenschutzes bedenklich. So erhielten Anbieter des Single-Sign-On oftmals Informationen aus dem öffentlichen Profil der Kunden. Öksüz stellt klar: „Das sind im Zweifel mehr Daten als bei einer regulären Registrierung erforderlich gewesen wären.“ Gleichzeitig sammelten Facebook, Google usw. Daten über das Nutzerverhalten auf all jenen Webseiten, auf denen sich Nutzer mit ihrem Profil anmelden. Aus diesen Informationen könnten umfassende persönliche Profile gebildet werden, welche dann auch Werbezwecken dienten. Das Problem laut Öksüz: „Die zielgerichtete Werbung führt nicht automatisch zum besten und günstigsten Angebot.“

Single-Sign-On beeinflusst Social-Media-Profil

Eine weitere Gefahr bestehe darin, „dass auf dem eigenen Social-Media-Profil Dinge geschehen, von denen man nichts mitbekommt“. Denn um das Login auf einer anderen Internetseite nutzen zu können, werde auf „facebook“ oder „Google“ eine entsprechende App freigeschaltet. Einige davon verlangten weitreichende Rechte, etwa im Namen der Nutzer unbemerkt Dinge zu „liken“ oder zu posten. „Die Rechte werden bei der Einrichtung des Logins aufgelistet. Wichtig ist es dabei, jeden Punkt zu lesen und (falls möglich) einzelne Rechte durch Wegklicken kleiner Haken zu entfernen“, rät Öksüz. Ferner empfiehlt sie: „Ist das bei Rechten, die man nicht erlauben will, nicht möglich, bleibt nur eines: Den Login für die entsprechende Seite nicht zu nutzen und die Einrichtung mit einem Klick auf ,Abbrechen’ zu beenden.“

Login per Single-Sign-On nicht nutzen, um möglichst wenige persönliche Daten weiterzugeben

„Wer möglichst wenig persönliche Daten weitergeben möchte, sollte den Login per Single-Sign-On nicht nutzen“, unterstreicht Öksüz. Wer indes auf den Komfort nicht verzichten möchte, sollte das entsprechende Benutzerkonto besonders gut absichern: „Dazu gehört ein starkes Passwort, das für kein anderes Konto genutzt wird.“ Idealerweise sichere man seine Konten soweit möglich auch noch über eine Zwei-Faktor-Authentifizierung ab. Login bzw. bestimmte Aktionen, wie die Bestätigung einer Zahlung, klappten dann erst durch einen zweiten Schritt – etwa die Eingabe einer per SMS erhaltenen PIN oder über die Bestätigung über eine spezielle App auf dem Smartphone.

Weitere Informationen zum Thema:

verbraucherzentrale Nordrhein-Westfalen
Sicher im Internet – Handy, Tablet und PC schützen

[datensicherheit.de, 29.09.2022] Das Bundeskriminalamt (BKA) hat am 29. September 2022 nach eigenen Angaben auf Ersuchen der Staatsanwaltschaft Köln, „Zentral- und Ansprechstelle Cybercrime NRW“ (ZAC NRW), drei Objekte in Nordrhein-Westfalen durchsucht. Dabei wurde demnach ein durch die Staatsanwaltschaft Verden (Aller) – „Zentralstelle für Internet- und Computerkriminalität (Cybercrime)“, beantragter und durch das Landgericht Hannover in Vollzug gesetzter Haftbefehl gegen einen 24-jährigen deutschen Staatsangehörigen vollstreckt und dieser festgenommen. Ihm sowie zwei weiteren Beschuldigten werde vorgeworfen, in einer Vielzahl von Fällen „Computerbetrug gewerbsmäßig“ sowie „Computersabotage im besonders schweren Fall“ begangen zu haben. Bei den polizeilichen Maßnahmen sei das BKA durch Einsatzkräfte des Landes NRW unterstützt worden. Die Ermittlungen gegen die Beschuldigten bei der ZAC NRW dauerten an.

Spezialisierte Dienststellen bei der Polizeidirektion Hannover und im BKA

Den Beschuldigten werde in den Ermittlungsverfahren der beiden Staatsanwaltschaften, „welche in Zusammenarbeit mit den für dieses Deliktsfeld spezialisierten Polizeidienststellen bei der Polizeidirektion Hannover und im BKA geführten werden“, vorgeworfen, mindestens vier Millionen Euro Schaden durch Computerbetrug verursacht zu haben.

Das Geld sollen die drei Männer durch den Betrug von Bankkunden erlangt haben, denen sie im großen Stil Phishing-Emails zugesandt hätten. Diese E-Mails seien optisch und sprachlich glaubwürdig echten Bank-E-Mails nachempfunden worden.

BKA warnt: Phishing-Opfer wurden aufgefordert, Login-Daten und eine aktuelle TAN einzugeben

„Den Opfern wurde in diesen Schreiben mitgeteilt, ihre Hausbank werde ihr Sicherheitssystem umstellen – und das eigene Konto sei davon betroffen.“ Die E-Mail-Empfänger seien so dazu verleitet worden, auf einen Link zu klicken, der wiederum zu einer täuschend echt aussehenden Bank-Webseite geführt habe.

Dort seien die Phishing-Opfer aufgefordert worden, ihre Login-Daten und eine aktuelle TAN einzugeben, „was den Betrügern wiederum ermöglichte, alle Daten im Konto des jeweiligen Opfers zu sehen – unter anderem die Höhe des Guthabens sowie die Erreichbarkeiten“. Daraufhin hätten die Täter die Opfer kontaktiert und diese als angebliche Bankmitarbeiter dazu verleitet, weitere TAN-Nummern preiszugeben. „Mit den TAN waren sie sodann in der Lage, Gelder von den Konten der Geschädigten abzuziehen.“

Laut BKA wurde im Darknet angebotene Crime-as-a-Service genutzt

Die Beschuldigten sollen sich notwendigen Arbeitsschritte, darunter die Programmierung, die Aufbereitung der Daten sowie die Telefonate, untereinander aufgeteilt haben. Zudem werde ihnen vorgeworfen, zur kriminellen Erlangung weiterer Bank-Daten sowie zur Verschleierung ihrer Taten sogenannte DDoS-Angriffe auf Geldinstitute und Zahlungskartenanbieter durchgeführt zu haben.

Hierbei seien durch massenhaft automatisierte Abfragen die Webpräsenzen, Server und Netzwerke der Unternehmen überlastet und so eine Nichterreichbarkeit der Online-Dienste herbeigeführt bzw. ihre Erreichbarkeit stark eingeschränkt worden. „Zur Realisierung ihrer Taten sollen die Beschuldigten auch auf Angebote weiterer Cyber-Krimineller zurückgegriffen haben, die im Darknet verschiedene Formen von Cyber-Attacken als ,Crime-as-a-Service’ verkaufen.“

BKA rät Bankkunden, niemals auf Links oder Datei-Anhänge in vermeintlichen E-Mails ihrer Hausbank zu klicken

Die Zusammenarbeit der verschiedenen Behörden auch in diesem Verfahren zeige die starke Vernetzung der Ermittler im Bereich „Cybercrime“, um derlei Betrugstaten zu unterbinden. Der 24-Jährige sowie ein 40-Jähriger seien in dem Verfahren der Staatsanwaltschaft Verden bereits beim Landgericht Hannover angeklagt worden. Ihnen würden 124 Taten des Computerbetrugs zur Last gelegt, welche sie gemeinschaftlich im Zeitraum vom 3. Oktober 2020 bis zum 29. Mai 2021 in Hannover und anderenorts begangen haben sollen.

Die Ermittler warnen daher: „Cyber-Kriminelle nutzen hoch professionelle Phishing-Mails.“ Diese seien zumeist das Einfallstor für Cyber-Straftaten. Im aktuellen Fall seien die Fälschungen kaum von professionellen Bank-E-Mails zu unterscheiden gewesen – „was auch zu der hohen Schadenssumme beitrug“. Bankkunden sollten niemals auf Links oder Datei-Anhänge in vermeintlichen E-Mails ihrer Hausbank klicken: „Kontaktieren Sie im Zweifel Ihren Bankberater persönlich oder informieren sich direkt auf der Website Ihres Geldinstitutes. Sollten Sie Opfer einer Straftat werden, erstatten Sie umgehend Anzeige bei der zuständigen Polizei.“

Weitere Informationen zum Thema:

datensicherheit.de, 01.12.2021
Gefälschte Websites der Sparkasse und Volksbank: Bankkunden in Deutschland im Phishing-Visier / Umfangreiche Phishing-Kampagnen zum Diebstahl von Zugangsdaten

datensicherheit.de, 12.10.2021
Phishing-Attacken: Cyber-Kriminelle missbrauchen Banken als Köder / Christine Schönig warnt vor Phishing-Gefahr durch Smartphones und Unachtsamkeit